Sie sind hier: Home » Aktuelle Meldungen » Archiv

Archiv für April 2014

April 2014

  • [Generic/Flash] Schwachstelle im Adobe Flash Player (2014-04-29)
    Eine Schwachstelle im Adobe Flash Player für Microsoft Windows, Macintosh OS X sowie Linux kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden System auszuführen. Adobe stellt aktualisierte Versionen des Players, die die Schwachstelle beheben, bereit.
  • [Microsoft/IE] Schwachstelle im Internet Explorer (2014-04-29)
    Eine Schwachstelle im Internet Explorer der Versionen 6 bis 11 kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden System auszuführen. Um die Schwachstelle auszunutzen ist es ausreichend, wenn ein Benutzer eines betroffenen Sytems entsprechend präparierte Inhalte mit dem Browser betrachtet.
  • [DV-Recht] US-Gericht verfügt Durchsuchung eines E-Mail-Kontos auf einem Microsoft-Server in Irland (2014-04-28)
    Ein US-amerikanischer Bundesrichter hat einen Durchsuchungsbefehl für ein E-Mailkonto bei Microsoft erlassen, dessen Daten auf einem Server in Irland liegen. Damit wird die Auffassung der amerikanischen Behörden zementiert, dass die Daten nicht den Rechtsvorschriften des Landes, in denen sie sich befinden (also hier denen Irlands bzw. der EU), sondern den US-amerikanischen unterliegen. Zwar will Microsoft nach eigenem Bekunden gegen diesen Beschluss eine Revision beantragen, dieser werden jedoch wenig Chancen eingeräumt. Dies bedeutet, dass alle Daten, die sich auf Servern US-amerikanischer Firmen befinden, egal wo diese stehen, im direkten Zugriff US-amerikanischer Behörden liegen. Bei der Nutzung solcher Dienste ist daher immer dieser Aspekt zu beachten. Dies ist insbesondere dann relevant, wenn lokale Rechtsvorschriften zum Schutz der Daten oder Geheimhaltungspflichten (z.B. im Rahmen von Projekten) zu beachten sind.
  • [DV-Recht] EuGH kippt Vorratsdatenspeicherung (2014-04-08)
    Der Europäische Gerichtshof (EuGH) hat die EU-Richtlinie 2006/24/EG für rechtswidrig erklärt. Nach Ansicht des Gerichtes verstößt sie gegen die Grundrechtecharta der EU, sie "beinhaltet einen Eingriff von großem Ausmaß und besonderer Schwere in die Grundrechte auf Achtung des Privatlebens und auf den Schutz personenbezogener Daten, der sich nicht auf das absolut Notwendige beschränkt". Die Richtlinie sah vor, dass die Mitgliedsstaaten jeweils ein nationales Gesetz verabschieden müssen, das Provider zur sechsmonatigen Speicherung aller Verbindungsdaten, die in ihrer Infrastruktur angefallen sind, verpflichtet. Diese Vorgabe ist nun Geschichte.
  • [Generic/OpenSSL] Ernste Schwachstelle in OpenSSL (2014-04-07)
    Eine Schwachstelle in der TLS heartbeat extension kann von einem Angreifer durch das Senden eines speziell formulierten Paketes dazu ausgenutzt werden, bis zu 64 kbytes des Speichers eines TLS-Servers oder Clients auszulesen (sog. Heartbleed Bug). Dies kann u.U. dazu führen, dass der Angreifer in den Besitz des privaten Schlüssel des Servers oder Clients kommt. TLS-Verbindungen mit OpenSSL-Installationen der betroffenen Versionen müssen daher als unsicher angesehen werden. Auch zwischegespeichte Passwörter oder andere sensitive Daten können unter Ausnutzung dieser Schwachstelle aus dem Speicher eines betroffenen Systems ausgelesen werden. Das OpenSSL-Team hat eine neue Version herausgegeben, die die Schwachstelle behebt. Es wird dringend zur unverzüglichen Aktualisierung betroffener Systeme und dem Austausch des jeweiligen Schlüsselpaars geraten. Ebenfalls sollten alle Passwörter, die über eine betroffene TLS-Verbindung ausgetauscht wurden, vorsorglich geändert werden.
    • [Generic/OpenSSL] Mehrere Schwachstellen in OpenSSL (2014-06-05)
      Sechs Schwachstellen in OpenSSL der Versionen 0.9.8, 1.0.0 und 1.0.1 können von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden System (sowohl auf Servers als auch auf Clients) auszuführen, schwache Sitzungsschlüssel in TLS-Sitzungen zu erzwingen, betroffene Installationen in einen unbenutzbaren Zustand zu versetzen oder Daten in bestehende Sitzungen einzuschleusen. Das OpenSSL-Team stellt neue Versionen der verschiedenen Zweige bereit, die die Schwachstellen beheben. Es wird empfohlen, betroffene Installationen umgehend zu aktualisieren. Nach derzeitigem Wissensstand sind Passwörter und/oder Zertifikate nur zu ändern, falls ein betroffenes System erfolgreich angegriffen und kompromittiert wurde (wie dies auch bei jeder anderen Kompromittierung der Fall wäre).
  • [Identitätsdiebstahl] Erneut rund 18 Millionen Zugangsdatensätze gestohlen (2014-04-07)
    Das Bundesamt für Sicherheit in der Informationstechnik hat erneut im Rahmen von laufenden Ermittlungen der Staatsanwaltschaft Verden eine Liste von rund 18 Millionen Identäten erhalten, die gestohlen wurden. Die Liste enthält E-Mail-Adressen, die zur Identifikation dienen sowie das zugehörige Passwort. Sie können und werden für kriminelle Aktivitäten verwendet. Da es weitverbreitete Praxis ist, diese Daten auch für andere Dienste (etwa Online-Auktionshäuser, soziale Netzwerke oder gar Onlinebankingkonten) zu verwenden, sind ggf. auch diese Konten als kompromittiert anzusehen.
    Das BSI stellt ein Werkzeug zur Verfügung, mit dem überprüft werden kann, ob die eigene E-Mail-Adresse auf dieser Liste enthalten ist. Benutzern wird dringend empfohlen, diese Überprüfung erneut durchzuführen und vorsorglich Passwörter zu ändern, insbesondere dann, wenn bekannt ist, dass Zugangsdaten auf einem kompromittierten Rechnersystem eingegeben wurden. Weiterhin wird dringend empfohlen, Passwörter nicht mehrfach zu verwenden. Es sollte die Maßgabe "Jede Identität und jeder Zugang hat sein eigenes Passwort!" gelten.
    ACHTUNG! Die aktuelle Liste ist von der am 2014-01-22 bekannt gewordenen Liste (siehe RUS-CERT-1718) verschieden! Identitäten, die nicht auf der damals bekannt gewordenen Liste enthalten waren, können auf der aktuellen Liste enthalten sein und damals enthaltene, nun geänderte Identitäten können wieder enthalten sein! Daher ist der Test unbedingt erneut durchzuführen!

Andere Monate

2016

2015

2014

2013

2012

2011

2010

2009

2008

2007

2006

2005

2004

2003

2002

2001

2000